再現手順:

1. 任意の認証済みユーザーとしてログインします。
2. Job / Course / Batchの作成または編集ページに移動します。
3. 説明フィールドにペイロードを貼り付けます。
4. フォームを保存します。
5. 作成したJob / Course / Batchを開きます。
6. ブラウザでJavaScriptが実行されます。

根本原因

• サーバーサイドのHTMLサニタイズの欠如または不十分さ
• ユーザー提供の入力の安全でないレンダリング
• テンプレートにおける出力エンコーディングの欠如

修正 / 緩和策

公式パッチ

• 修正バージョン: 2.42.0

実装されたセキュリティ改善

• 入力に対する適切なHTMLサニタイズ
• レンダリング前の安全な出力エンコーディング
• 実行可能なタグと属性の制限

推奨されるベストプラクティス

• 常にサーバーサイドでユーザー入力をサニタイズする
• コンテキスト (HTML、JS、URL) に基づいて出力エンコーディングを適用する
• 信頼できるHTMLサニタイザー (例: DOMPurify) を使用する
• コンテンツセキュリティポリシー (CSP) を実装する

タイムライン

• 報告者: Dharan Raghunathan
• ステータス: 修正済み
• パッチリリース: バージョン 2.42.0

謝辞

この問題はDharan Raghunathanによって責任を持って開示されました。

参考情報

• OWASP 保存型XSS: https://owasp.org/www-community/attacks/xss/
• CWE-79: ウェブページ生成時の入力の不適切な無害化
• GitHub アドバイザリ: https://github.com/frappe/lms/security/advisories/GHSA-jjc4-j3hw-33h2

免責事項

このドキュメントは教育および防御的なセキュリティ目的のみを対象としています。